a16z: почему зашифрованные мемпулы вряд ли станут панацеей от MEV?

Авторы: Pranav Garimidi, Joseph Bonneau, Lioba Heimbach, a16z

Подготовка текста: Saoirse, Foresight News

В блокчейне возможность извлечения максимальной выгоды путем определения того, какие транзакции включаются в блок, какие исключаются, или изменения их порядка, называется «максимально извлекаемой стоимостью», или MEV (Maximal Extractable Value). MEV широко распространена во многих блокчейнах и постоянно находится в центре внимания и дискуссий индустрии.

Примечание: В этой статье предполагается, что читатели уже имеют базовое понимание MEV. Тем, кому это необходимо, рекомендуется сначала ознакомиться с нашим популярным обзором MEV.

Многие исследователи, изучая явление MEV, задают один четкий вопрос: может ли криптография решить эту проблему? Одним из решений является использование зашифрованного мемпула: пользователи транслируют зашифрованные транзакции, которые расшифровываются и раскрываются только после упорядочивания. Таким образом, протокол консенсуса должен «вслепую» выбирать порядок транзакций, что, как кажется, предотвращает извлечение прибыли из возможностей MEV на этапе сортировки.

К сожалению, как с практической, так и с теоретической точек зрения, зашифрованный мемпул не может предложить универсального решения для проблемы MEV. В этой статье мы рассмотрим соответствующие трудности и обсудим возможные направления проектирования таких систем.

Принцип работы зашифрованного мемпула

Существует множество предложений по зашифрованному мемпулу, но его общая схема выглядит следующим образом:

1. Пользователи транслируют зашифрованные транзакции.

2. Зашифрованные транзакции публикуются в блокчейне (в некоторых предложениях транзакции сначала проходят через верифицируемое случайное перемешивание).

3. После финальной фиксации блока, содержащего эти транзакции, они расшифровываются.

4. На завершающем этапе эти транзакции исполняются.

Стоит отметить, что в шаге 3 (расшифровка транзакций) возникает ключевая проблема: кто отвечает за расшифровку? Что делать, если она не завершится? Простая идея заключается в том, чтобы позволить пользователям самостоятельно расшифровывать свои транзакции (в этом случае шифрование даже не потребуется, достаточно использовать скрытые обязательства). Однако этот подход уязвим: злоумышленники могут применять спекулятивный MEV.

При спекулятивном MEV атакующий предполагает наличие возможности для получения прибыли из одной из зашифрованных транзакций, затем шифрует собственную транзакцию и пытается вставить ее в выгодную позицию (например, перед или после целевой транзакции). Если транзакции расположатся в ожидаемом порядке, атакующий расшифрует их и извлечет MEV через свою транзакцию; если порядок окажется иным, он откажется от расшифровки, и его транзакция не войдет в итоговый блокчейн.

Теоретически пользователей, не сумевших расшифровать транзакции, можно подвергнуть штрафам, однако реализовать этот механизм крайне сложно. Причина в том, что степень наказания за все зашифрованные транзакции должна быть одинаковой (поскольку после шифрования невозможно различить транзакции), и оно должно быть достаточно строгим, чтобы сдерживать спекулятивный MEV даже при наличии высокоценных целей. Это приведет к замораживанию значительных объемов средств, которые должны сохранять анонимность (чтобы не раскрыть связь между транзакциями и пользователями). Еще более сложная ситуация возникает, если реальные пользователи не смогут корректно расшифровать транзакции из-за ошибок в коде или сбоев сети — они также понесут убытки.

Поэтому большинство предложений предусматривают, что при шифровании транзакций должна гарантироваться возможность их будущей расшифровки, даже если пользователь-отправитель вышел из сети или отказался сотрудничать. Данная цель может быть достигнута несколькими способами:

Доверенные среды выполнения (TEE): пользователи могут шифровать транзакции ключами, хранимыми в изолированной безопасной зоне TEE. В простейших реализациях TEE используется только для расширения транзакций после наступления определенного момента (для чего внутри TEE требуется функция учета времени). В более сложных архитектурах TEE отвечает за расшифровку транзакций, формирование блоков и их сортировку на основе времени поступления, комиссий и других критериев. Преимущество подхода с TEE перед другими методами зашифрованного мемпула заключается в возможности напрямую обрабатывать данные в открытом виде и сокращать избыточную нагрузку в блокчейне за счет фильтрации транзакций, которые впоследствии будут откатаны. Недостаток же данного метода зависит от надежности оборудования.

Секретное деление и пороговое шифрование (Secret-sharing and threshold encryption): В данном подходе пользователь шифрует транзакцию ключом, который совместно контролируется определенным комитетом (как правило, подмножеством валидаторов). Для расшифровки требуется достижение установленного порога (например, согласие двух третей членов комитета).

При использовании пороговой расшифровки носитель доверия смещается с аппаратного обеспечения на комитет. Сторонники этого подхода полагают, что поскольку большинство протоколов по умолчанию исходит из наличия «честного большинства» в механизме консенсуса, можно сделать аналогичное предположение: большинство валидаторов останутся честными и не будут преждевременно расшифровывать транзакции.

Однако здесь важно указать на ключевое различие: эти два типа доверия не являются тождественными. Сбои консенсуса, такие как разветвления блокчейна, публичны и видимы (это относится к «слабому доверию»), тогда как злонамеренный комитет, тайно расширяющий транзакции заранее, не оставляет никаких публичных следов. Такая атака не подлежит обнаружению и наказанию («сильное доверие»). Следовательно, хотя на поверхности безопасность протокола консенсуса и зашифрованного комитета кажутся сопоставимыми, на практике гипотеза о том, что «комитет не пойдет на сговор», обладает гораздо меньшей надежностью.

Блокировка по времени и отложенное шифрование (Time-lock and delay encryption): В качестве альтернативы пороговому шифрованию применяется отложенное шифрование: пользователь шифрует транзакцию с использованием публичного ключа, а соответствующий приватный ключ скрыт в криптографической головоломке с временной блокировкой. Такая головоломка представляет собой шифрованный контейнер, содержимое которого открывается только после истечения заданного времени. Точнее говоря, процесс расшифровки требует последовательного выполнения серии алгоритмических вычислений, которые принципиально невозможно распараллелить. В данной схеме любой желающий может разгадать головоломку, получить ключ и расшифровать транзакцию, но только после завершения длительного расчета (по своей природе линейного/последовательного), что гарантирует невозможность расшифровки до финальной фиксации блока. Наиболее мощная реализация этого криптографического примитива осуществляется через публичное генерирование подобных головоломок с помощью технологий отложенного шифрования; также этот процесс можно приблизительно реализовать с участием доверенного комитета посредством блокировки по времени, однако в таком случае преимущество перед пороговым шифрованием становится спорным.

Как подходы с отложенным шифрованием, так и решения с вычислениями доверенного комитета сталкиваются с рядом практических сложностей. Во-первых, поскольку задержка фундаментально зависит от процесса вычислений, трудно гарантировать точность времени расшифровки. Во-вторых, этим схемам требуются определенные субъекты для запуска высокопроизводительного оборудования эффективного решения головоломок. Хотя теоретически эту роль может выполнить кто угодно, механизм стимулирования таких участников остается неясным. Наконец, в подобных архитектурах будут расшифровываться все транслируемые транзакции, включая те, что никогда не попадут в финальный блок. Решения на основе порога (или доказательного шифрования), напротив, позволяют потенциально расшифровывать лишь транзакции, успешно включенные в блок.

Доказательное шифрование (Witness encryption): Последний продвинутый криптографический подход использует технологию «доказательного шифрования». Теоретически его принцип заключается в следующем: информация шифруется таким образом, что расшифровать её сможет только тот, кто знает специфические «свидетельские данные» для определенного отношения NP. Например, данные можно зашифровать так, что расшифровка возможна лишь тем, кто решит конкретную задачу судоку или предоставит прообраз хэша для заданного значения.

(Примечание: отношение NP — это соответствие между «задачей» и «ответом, который можно быстро проверить».)

Для любого отношения NP аналогичную логику можно реализовать через SNARK. Можно сказать, что доказательное шифрование по сути представляет собой формат, в котором данные шифруются так, что расшифровать их способен только субъект, способный доказать через SNARK выполнение определенных условий. В контексте зашифрованного мемпула типичным примером такого условия является: транзакция может быть расшифрована только после финальной фиксации блока.

Это крайне перспективная теоретическая примитивная операция. Фактически, это универсальное решение, где подходы на базе комитета и отложенного шифрования выступают лишь его частными случаями. К сожалению, на данный момент не существует никаких практически применимых решений на основе доказательного шифрования. Кроме того, даже если бы такое решение существовало, сложно было бы утверждать, что оно превосходит комитетский подход в сетях Proof-of-Stake. Даже если настроить доказательное шифрование как «возможность расшифровки только после включения транзакции в финально подтвержденный блок», злонамеренный комитет всё равно сможет локально симулировать протокол консенсуса, подделать статус финализации транзакции и использовать эту приватную цепочку в качестве «свидетеля» для её расшифровки. В данном случае использование пороговой расшифровки тем же комитетом обеспечит сопоставимый уровень безопасности при значительно меньшей сложности реализации.

Зато в консенсусных протоколах Proof-of-Work преимущества доказательного шифрования проявляются ярче. Потому что даже полностью злонамеренный комитет не сможет тайно добавить несколько новых блоков на текущий главный блокчейн, чтобы подделать статус финализации.

Технические вызовы зашифрованного мемпула

Ряд практических сложностей ограничивает способность зашифрованного мемпула эффективно противодействовать MEV. В целом, сохранение конфиденциальности информации само по себе является нетривиальной задачей. Примечательно, что внедрение криптографии в экосистему Web3 пока не массово, однако многолетние практики развертывания шифрования в интернет-протоколах (таких как TLS/HTTPS) и мессенджерах (от PGP до современных платформ вроде Signal и WhatsApp) ярко демонстрируют сопутствующие проблемы: шифрование хоть и служит инструментом защиты конфиденциальности, но не дает абсолютных гарантий.

Во-первых, некоторые субъекты могут получить прямой доступ к данным транзакций в открытом виде. В стандартной сценарии пользователи редко шифруют транзакции самостоятельно, делегируя эту задачу провайдерам кошельков. Таким образом, провайдеры кошельков получают доступ к исходным данным транзакций и могут использовать либо продавать эту информацию для извлечения MEV. Безопасность шифрования всегда зависит от субъектов, имеющих доступ к ключам. Область контроля над ключами определяет границы безопасности.

Кроме того, главная проблема кроется в метаданных — незашифрованной информации, окружающей зашифрованную полезную нагрузку (транзакцию). Поисковики (searchers) могут использовать эти метаданные для анализа намерений транзакций и соответственно применять спекулятивный MEV. Важно понимать, что поисковикам не обязательно полностью разбирать содержание транзакции или гадать безошибочно. Достаточно иметь приемлемую вероятность того, что конкретная транзакция представляет собой ордер на покупку с определенного децентрализованного биржи (DEX), чтобы успешно организовать атаку.

Метаданные можно разделить на несколько категорий: одни являются классическими проблемами, присущими самой криптографии, другие специфичны именно для зашифрованного мемпула.

• Размер транзакции: Само по себе шифрование не скрывает размер открытого текста (следует отметить, что в формальном определении семантической безопасности явно исключается задача сокрытия размера сообщения). Это распространенный вектор атаки в зашифрованных коммуникациях. Классический пример: несмотря на шифрование, перехватчик может в реальном времени определять, какой контент воспроизводится на Netflix, анализируя размер каждого пакета видео-потока. В зашифрованном мемпуле определенные типы транзакций могут обладать уникальным размером, что приведет к утечке информации.

• Время трансляции: Шифрование также не скрывает временную отметку (еще один классический вектор атаки). В сценариях Web3 некоторые отправители (например, участвующие в структурированном сбросе позиций) могут инициировать транзакции через строго фиксированные интервалы. Время отправки также может коррелировать с другой информацией, такой как активность на внешних биржах или новостные события. Более изощренное применение временных данных связано с арбитражем между централизованными (CEX) и децентрализованными (DEX) биржами: упорядочиватели могут вставлять транзакции, созданные максимально поздно, чтобы использовать самые свежие цены CEX. Одновременно упорядочиватели могут игнорировать любые другие транзакции, транслируемые после определенного момента (даже зашифрованные), обеспечивая своим транзакциям монопольное преимущество новейших ценовых данных.

• Исходный IP-адрес: Поисковики могут отслеживать пиринговые сети и анализировать исходные IP-адреса для выявления отправителя транзакции. Эта проблема была выявлена еще на ранних этапах развития Bitcoin (более десятилетия назад). Если у конкретного отправителя наблюдается устойчивая модель поведения, это представляет огромную ценность для поисковиков. Например, зная личность отправителя, можно связать зашифрованную транзакцию с ранее расшифрованными историческими данными.

• Отправитель транзакции и информация о комиссиях / gas: Комиссии за транзакцию представляют собой особый тип метаданных для зашифрованного мемпула. В Ethereum традиционная транзакция содержит адрес отправителя в цепи (для оплаты комиссий), максимальный лимит gas и сумму комиссии за единицу gas, готовую заплатить отправитель. Как и в случае с сетевым адресом, адрес отправителя может использоваться для связывания множества транзакций с реальными субъектами; лимит gas, в свою очередь, косвенно указывает на намерения. Например, взаимодействие с конкретной DEX может требовать распознаваемого фиксированного объема gas.

Сложные схемы поисковиков могут сочетать различные перечисленные типы метаданных для прогнозирования содержания транзакций.

Теоретически всю эту информацию можно скрыть, но это потребует жертв ради производительности и усложнения архитектуры. Например, наполнение транзакций до стандартного размера скроет фактический объем, но приведет к растрате полосы пропускания и места в блокчейне; добавление искусственной задержки перед отправкой скроет время, но увеличит общую задержку сети; отправка транзакций через анонимные сети вроде Tor скроет IP-адрес, однако породит новые проблемы.

Самой трудной для сокрытия частью метаданных являются данные о комиссии транзакций. Шифрование информации о комиссиях создаст ряд проблем для конструкторов блоков. Во-первых, это породит проблему спама: если данные о комиссии зашифрованы, любой участник сможет транслировать транзакции с неверным форматом шифрования. Такие транзакции будут отсортированы, но не смогут оплатить комиссию, а после расшифровки окажутся неисполнимыми, при этом никого нельзя будет привлечь к ответственности. Возможно, это можно решить с помощью SNARK, доказывающих правильность формата транзакции и наличие достаточных средств, но это резко увеличит накладные расходы.

Во-вторых, возникнут проблемы с эффективностью конструирования блоков и аукционов комиссий. Конструкторы опираются на данные о комиссиях для формирования блоков с максимальной прибыльностью и определения текущей рыночной цены ресурсов в цепи. Шифрование комиссий разрушит этот процесс. Одно из решений — установить фиксированную комиссию для каждого блока, однако это экономически неэффективно и может стимулировать формирование вторичного рынка упаковки транзакций, что противоречит первоначальной идее зашифрованного мемпула. Альтернативный вариант — проведение аукционов комиссий с использованием вычислений с защитой от утечек или доверенного оборудования, но оба этих подхода сопряжены с крайне высокими затратами.

Наконец, безопасная архитектура зашифрованного мемпула многократно увеличит системные накладные расходы: шифрование повысит задержки в цепи, вычислительную нагрузку и потребление пропускной способности; вопросы интеграции с такими важными будущими целями, как шардирование или параллельное исполнение, пока остаются неясными; также в систему появятся новые точки отказа для обеспечения жизнеспособности (liveness) сети (например, комитет по расшифровке в пороговых схемах или решатели функций задержки); кроме того, значительно вырастет сложность проектирования и реализации.

Многие проблемы зашифрованного мемпула пересекаются с вызовами, стоящими перед блокчейнами, ориентированными на конфиденциальность транзакций (такими как Zcash или Monero). Имеет смысл отметить лишь положительный момент: успешное преодоление всех барьеров применения криптографии для снижения уровня MEV автоматически откроет путь к полноценной конфиденциальности транзакций.

Экономические вызовы зашифрованного мемпула

Наконец, зашифрованный мемпул сталкивается с проблемами экономического характера. В отличие от технических сложностей, которые можно постепенно смягчить достаточными инженерными усилиями, эти экономические ограничения носят фундаментальный характер и чрезвычайно сложны для разрешения.

Корень проблемы MEV кроется в информационной асимметрии между создателями транзакций (пользователями) и операторами возможностей MEV (поисковиками и конструкторами блоков). Пользователи обычно не осознают, сколько извлекаемой ценности содержится в их транзакциях. Следовательно, даже при наличии идеального зашифрованного мемпула они могут быть подталкиваемы к разглашению ключей расшифровки в обмен на компенсацию, которая ниже реальной стоимости MEV. Это явление можно назвать «мотивированной расшифровкой».

Такие сценарии легко представить, ведь похожие механизмы, такие как MEV Share, уже существуют на практике. MEV Share представляет собой аукцион потока ордеров, позволяющий пользователям выборочно передавать данные транзакций в пул, где поисковики конкурируют за право извлечь MEV с этих операций. Победитель аукциона после извлечения MEV возвращает пользователю часть дохода (либо ставку, либо определенный процент). Эту модель можно напрямую адаптировать для зашифрованного мемпула: пользователю придется раскрыть ключ расшифровки (или его часть) для участия. Однако большинство участников не осознают альтернативные издержки вовлечения в подобные системы, фокусируясь исключительно на немедленной выгоде и охотно соглашаясь на разглашение данных. Аналогичные примеры есть и в традиционных финансах: например, брокерская платформа Robinhood, работающая без комиссий, генерирует прибыль именно через продажу потоков ордеров третьим лицам в рамках механизма «оплаты за поток заказов» (payment-for-order-flow).

Другой вероятный сценарий заключается в том, что крупные конструкторы блоков, ссылаясь на необходимость комплаенса, принуждают пользователей раскрывать содержание транзакций (или связанные данные). Цензура устойчивости (anti-censorship) остается одной из главных и дискуссионных тем в Web3. Если же ведущие валидаторы или конструкторы находятся под юридическим давлением (например, согласно санкционным спискам Управления по контролю за иностранными активами США — OFAC), они могут просто отказаться обрабатывать какие-либо зашифрованные транзакции. С технической точки зрения пользователь, возможно, сможет доказать соблюдение требований через нулевое разглашение (zero-knowledge proof), однако это добавит дополнительные издержки и сложность. Даже если сеть обладает высокой устойчивостью к цензуре (гарантирующей обязательное включение зашифрованных транзакций в блок), конструкторы могут предпочтительно размещать известные транзакции с открытым текстом в начале блока, а зашифрованные ставить в конец. В результате те транзакции, для которых критически важна гарантированная очередность исполнения, всё равно вынуждены будут раскрывать свое содержание конструкторам блоков.

Проблемы эффективности

Зашифрованный мемпул увеличивает системные издержки множественными очевидными способами. Пользователям приходится шифровать транзакции, а системе — каким-то образом расшифровывать их. Это повышает вычислительные затраты и потенциально увеличивает объем транзакций. Как отмечалось выше, обработка метаданных дополнительно усугубляет эти издержки. Однако существуют и менее очевидные эффекты. На финансовых рынках считается, что рынок эффективен, если цены отражают всю доступную информацию; задержки и информационная асимметрия неизбежно приводят к рыночной неэффективности. Именно такой результат неизбежен при внедрении зашифрованного мемпула.

Подобная неэффективность приводит к прямому последствию — росту ценовой неопределенности, являющемуся прямым результатом дополнительных задержек, вносимых мемпулом. Соответственно, возрастет количество неудачных транзакций из-за превышения допустимого ценового проскальзывания, что обернется пустой тратой места в цепи.

Кроме того, ценовая неопределенность способна породить спекулятивные транзакции MEV, пытающиеся извлечь выгоду из цепочечного арбитража. Примечательно, что зашифрованный мемпул может сделать подобные возможности еще более распространенными: из-за задержек исполнения состояние децентрализованных бирж (DEX) становится менее прозрачным, что существенно снижает эффективность рынка и провоцирует ценовые разрывы между различными торговыми площадками. Такие спекулятивные операции MEV также растрачивают место в блоках, поскольку при отсутствии подтвержденного арбитражного спреда они часто прерывают исполнение.

Заключение

Цель данной статьи — систематизировать возникающие вызовы для зашифрованного мемпула, чтобы исследовательское сообщество могло направить усилия на разработку иных решений. Тем не менее, эта технология вполне способна стать частью общей стратегии управления MEV.

Перспективным направлением выступает гибридная архитектура: часть транзакций проходит через зашифрованный мемпул для «слепой сортировки», тогда как остальные обрабатываются альтернативными методами. Подобный комбинированный подход может оказаться оптимальным для специфических типов ордеров (например, крупных сделок институциональных участников, способных точно настроить шифрование или наполнение трафика и готовых платить премию за защиту от MEV). Он также сохраняет практическую ценность для особо чувствительных операций, таких как патчи уязвимостей в смарт-контрактах.

Однако из-за существующих технических ограничений, колоссальной инженерной сложности и высоких издержек производительности маловероятно, что зашифрованный мемпул станет тем самым «универсальным решением» для борьбы с MEV, которого многие ожидали. Сообществу необходимо развивать альтернативные инструменты, включая аукционы MEV, механизмы защиты на уровне приложений и сокращение времени финализации. MEV останется серьезным вызовом на обозримый период, требуя глубокого анализа для поиска баланса между различными стратегиями минимизации его негативного воздействия.